Market dondurucuları hacklendi: 50°C ayarı 100 bin euroluk gıdayı eritti

Marketlerde ne oldu?

Saldırı, ödeme sistemlerini veya müşteri verilerini değil, soğutma ve dondurucu kontrollerini hedef almış gibi görünüyor.

Belçika'nın en büyük süpermarket zincirlerinden Delhaize, yerel basına 40 şubesinde gece boyunca bir "bilgisayar olayı" yaşandığını söyledi. Aynı saatlerde İsveç'teki marketler soğutma sistemlerine uzaktan müdahale edildiğini bildirdi. Ülkenin güneyindeki Sjöbo'da bir ICA şubesi, buzdolaplarının ve dondurucularının "gece hacklendiğini" ve sıcaklığın 50°C'ye ayarlandığını duyurdu.

Zarar, gıdayla ölçülüyor. Flaman Brabant'taki Hoeilaart'ta bir Delhaize şubesi Het Laatste Nieuws'e 100 bin euroluk ürün kaybettiğini söyledi; yönetici bu rakama mağazanın kapanmasından doğan satış kaybının dahil olmadığını belirtti. İsveç basını, Stockholm'deki Odengatan şubesinde çalışanların bozulmuş gıda poşetlerini çöpe attığını görüntüledi. Sjöbo şubesi bu arada yeniden açıldı.

Her zincir aynı ölçüde etkilenmedi. Carrefour, Belçika'daki yalnızca 15 şubesinin etkilendiğini ve tüm mağazaları açık tutmak için hemen önlem aldığını açıkladı. İsveç'te Coop, 800 mağazasının yedisinin etkilendiğini ancak durumun "kontrol altında" olduğunu söyledi. İrlanda'da da 13 SuperValu şubesinin etkilendiği bildirildi.

Market soğutma sistemleri neden kolay hedef?

Mağaza soğutma sistemleri giderek daha fazla ağa bağlanıyor, uzaktan izleniyor ve güvenlik açısından kritik altyapı olarak görülmüyor.

Modern süpermarket soğutması, tek başına duran bir termostat değil. Zincirler yüzlerce şubedeki sıcaklığı tek bir platformdan izliyor, arızaları işaretliyor ve mühendis göndermeden ayar değiştirebiliyor. Bu kolaylık, sistemleri tam da bu yüzden cazip hale getiriyor: Ele geçirilen tek bir hesap ya da açıkta kalan tek bir denetleyici, ağdaki bütün mağazalara ulaşabiliyor.

Desen başka sektörlerden tanıdık. Dijital tabelalar, bina yönetim sistemleri ve endüstriyel kontrol cihazları son yıllarda benzer saldırılarla vuruldu; çünkü düz ağlarda çalışıyor, varsayılan şifrelerle geliyor ve yazılımları nadiren güncelleniyor. Geçen yıl Mısır'da otoyol tabelalarının hacklenmesi de aynı zayıflığı göstermişti: internete açık, parolası değiştirilmemiş cihazlar. Dondurucu reyonu veri açısından düşük riskli, para ve gıda güvenliği açısından ise yüksek etkili bir hedef.

Zamanlama da dikkat çekici. Geçen ay yüzlerce Fransız süpermarketini benzer bir olay etkilemişti. İkisinin bağlantılı olup olmadığı henüz bilinmiyor; Belçika'nın CCB'si de İsveç'in NCSC'si de saldırıyı bir gruba atfetmedi. İki kurum da durumu izlediklerini açıkladı.

Kimsenin cevaplamak istemediği gıda güvenliği sorusu

Bozulan stok görünen zarar. Asıl risk, sıcaklık kayıtlarına güvenilmediğinde ne olacağı.

Süpermarketler soğuk ve dondurulmuş gıdayı yasal olarak belirli sıcaklık aralıklarında tutmak zorunda ve çoğu zincir bu kayıtları da aynı ağa bağlı sistemlerden alıyor. Bir saldırgan ayarı değiştirebiliyorsa, prensipte gıdanın güvenli olduğunu kanıtlayan kaydı da değiştirebilir. Bu da maliyetli bir temizlik işini düzenleyici bir soruna dönüştürür.

Müşteriler için pratik tavsiye değişmiyor: Etkilenen mağazalar ya stoğu çöpe attıktan sonra yeniden açıldı ya da etkilenmeyen reyonlarıyla açık kaldı. Asıl ders perakendeciler için. Dondurucu kontrolleri, arka ofisle aynı düz ağda değil, diğer operasyonel teknolojiler gibi izlenen ayrı bir segmentte olmalı. Operasyonel teknolojiye yönelik saldırıların veri hırsızlığından farklı bir risk haritası var; Trigger.dev ihlalinde olduğu gibi tek bir açık nokta bütün bir müşteri kitlesini etkileyebiliyor.

Türkiye'de durum ne?

Saldırının doğrulanmış etkisi Belçika, Lüksemburg, İsveç ve İrlanda ile sınırlı. Türkiye'deki market zincirlerinden henüz benzer bir olay açıklaması gelmedi; ne bir mağaza kapanması ne de dondurucu ayarına müdahale bildirildi. Türkiye'deki zincirlerin soğutma sistemlerini hangi platformdan yönettiği ve bu sistemlerin ayrı bir ağda çalışıp çalışmadığı kamuya açık bilgi değil.

Türkiye'deki marketler için asıl mesele, dondurucu kontrolünün kasa sistemleriyle aynı ağda olup olmaması. Saldırıda olduğu gibi tek bir hesap üzerinden yüzlerce şubeye ulaşılabiliyorsa, bir market zincirinin bütün soğuk zinciri aynı anda riske girer. Tüketici tarafında ise somut bir fiyat etkisi yok; olay gıda israfı ve operasyonel kesintiyle sınırlı.

En yıkıcı hack'ler çoğu zaman en basit olanlar. Kimse müşteri verisi çalmadı, alenen fidye istemedi; biri soğuk zincire uzandı ve ayarı çevirdi. Perakende dondurucuları ödeme terminalleriyle aynı güvenlik önemini görmediği sürece dondurucu reyonu kolay hedef olmaya devam edecek.